Як выбраць стабільную крыніцу рэгістрацыі для членаў GET VPN

Хтосьці накіроўвае рэгістрацыю члена групы на адрас loopback і абвяшчае, што нестабільнасць GET VPN вырашана. Часам гэта так. Часцей за ўсё loopback дасягальны толькі з уласнай табліцы маршрутызацыі члена і больш ніадкуль, таму рэгістрацыя зноў ламаецца ў наступны раз, калі uplink, які яе перавозіў, вагаецца. Адрас рэгістрацыі — гэта ідэнтычнасць ўзроўню кіравання, і ён дапамагае толькі тады, калі існуе сапраўдны шлях у абодвух кірунках. Выбраць яго свядома варта, і гэта меншае змяненне, чым мяркуе паданне.

Што вызначае адрас рэгістрацыі

У разгортванні GDOI член групы рэгіструецца на серверы ключоў і атрымлівае ад яго групавую палітыку. Адрас, які запісвае сервер ключоў, — гэта ідэнтычнасць члена для гэтай размовы.

Гэтая ідэнтычнасць ахоплівае размову кіравання: рэгістрацыю, перагенерацыю ключоў і спампоўку палітыкі. Ён не становіцца крыніцай трафіку кліентаў, і ён не змяняе, якія інтэрфейсы абараняюць якія патокі.

Трымаць адно ад аднаго асобна — гэта першы крок, бо большасць блытаніны вакол гэтай налады ўзнікае ад чакання, што змяненне ўзроўню кіравання вылечыць сімптом ўзроўню даных.

Loopback добры настолькі, наколькі добры яго маршрут

Loopback дае члену лагічны адрас, які не знікае, калі адзін фізічны uplink адмаўляе. Гэта рэальная перавага на маршрутызатары з некалькімі шляхамі да сервера ключоў.

Але гэта проста адрас. Калі сервер ключоў не мае маршруту назад да яго, рэгістрацыя правальваецца гэтак жа, як і раней. Калі табліца маршрутызацыі члена дасягае сервера ключоў толькі праз адзін uplink, loopback стабільны, а шлях — не.

Праверце дасягальнасць у абодвух кірунках праз кожны uplink, які вы хочаце зберагчы. Loopback, які застаецца адміністрацыйна ўзнятым, нічога не даказвае пра перасылку, і збой выглядае як недасягальны сервер ключоў, а не як праблема інтэрфейсу. Запішыце праверку як каманду для кожнага uplink, а не як здагадку. Тады наступнае акно змен пачнецца з доказаў, а не з дыяграмы.

Трымайце кіраванне і абаронены трафік асобна

Cisco у кіраўніцтве па абыходзе GDOI апісвае інтэрфейс рэгістрацыі і сувязь паміж рэгістрацыяй і апрацоўкай абыходу. Чытайце паводзіны для той версіі, якую вы сапраўды запускаеце, а не трактуйце адну фразу як універсальную каманду.

Перагледзьце фільтрацыю і трансляцыю на шляху кіравання і пераканайцеся, што трафік кіравання ключамі выпадкова не апынуўся ў палітыцы абароны, якая залежыць ад той самай групавай палітыкі, якую ён спрабуе атрымаць. Такая цыклічная залежнасць — клясічны спосаб прымусіць працоўнае разгортванне адмовіць пасля змены палітыкі.

Палітыка ўзроўню даных — гэта асобны дызайн. Змяненне таго, адкуль прыходзіць рэгістрацыя, пакідае абароненыя патокі, селектары і правілы абыходу менавіта там, дзе яны былі.

Праверце ідэнтычнасць падчас пераходу

Перад змяненнем запішыце групу, выбраны адрас рэгістрацыі, прызначэнне сервера ключоў, кантэкст маршрутызацыі і дазволены шлях кіравання. Пасля ўзгодненай змены uplink зноў агледзьце прадстаўленне зарэгістраваных членаў на серверы ключоў і стан кіравання члена.

Вы хочаце бачыць, што прызначаная лагічная канчатковая кропка па-ранейшаму дасягальная і прадстаўлена так, як вы яе спраектавалі. Вы не хочаце бачыць другую рэгістрацыю з адрасу, які вы не мелі на ўвазе, бо менавіта так і з'яўляюцца дублікаты запісаў членаў.

Затым асобна праверце абаронены трафік прыкладанняў. Перадача можа прайсці, пакуль наступнай перагенерацыі ключоў няма куды ісці, а паспяховая рэгістрацыя нічога не кажа пра тое, ці правільна выбраны і маршрутызаваны пэўны паток.

Чаго не выпраўляе стабільная крыніца

Яна не выдаляе дублікаты запісаў членаў, створаныя папярэдняй памылкай канфігурацыі. Яна не адрамантуе збой перагенерацыі ключоў, выкліканы неадпаведнасцю палітык паміж членам і серверам ключоў. Яна не перажыве збой фізічнага шляху, які выдаліў адзіны маршрут да сервера ключоў.

Яна робіць адно: прыбірае адну зменную — ідэнтычнасць больш не змяняецца, калі змяняецца адрас uplink. Гэта варта мець, і гэта адзін радок у дызайне, а не ўвесь дызайн.

Парадак працы: назваць шлях кіравання, выбраць адрас з маршрутам у абодвух кірунках, пацвердзіць прадстаўленне сервера ключоў, затым асобна праверце абаронены трафік. Калі рэгістрацыя ўсё яшчэ правальваецца, loopback ніколі не быў праблемай.